Le scandale sur le vaste programme de surveillance de l’agence de sécurité américaine (NSA) continue à faire les choux gras de la presse.Un nouveau rapport affirme que la NSA aurait soudoyé RSA Security, l’entreprise de sécurité détenue par EMC, afin que celle-ci puisse fragiliser ses algorithmes de sécurité.
RSA Security est à l’origine de plusieurs solutions de chiffrement RSA populaires utilisées par un nombre important d’entreprises. Selon Reuters, qui cite deux sources proches du dossier, la NSA aurait payé 10 millions de dollars à RSA Security, afin que l’entreprise introduise une porte-dérobée dans l’algorithme de chiffrement utilisé par sa solution BSafe.
Cette information qui n’a pas manqué de créer une véritable polémique a été rapidement rapprochée avec les événements de septembre. En effet, suite aux révélations d’Edward Snowden sur les efforts de la NSA pour casser les algorithmes de chiffrements, RSA Security avait demandé à ses clients de ne plus utiliser le générateur Dual EC DRBG parce que celui-ci avait été délibérément trafiqué par des cryptographes de la NSA.
RSA Security avait travaillé en collaboration avec la NSA sur Dual_EC_DRBG. L’agence de sécurité américaine avait usé de son pouvoir pour faire adopter l’algorithme comme norme par le « National Institute of Standards and Technology » (NIST), qui avait également annoncé en septembre que l’algorithme n’était pas fiable.
De son côté, RSA Security affirme fermement ne pas avoir collaboré avec la NSA pour fragiliser ses solutions. « Selon la presse, nous avons conclu un contrat secret avec la NSA pour intégrer un générateur connu de nombre aléatoire erroné dans les bibliothèques de chiffrement BSAFE. Nous démentons catégoriquement cette allégation », écrit la firme dans un communiqué de presse.
Il faut noter que les documents de Snowden révèlent que la NSA, via un programme de nom de code SIGINT, aurait dépensé en un an un montant de 250 millions de dollars pour l’insertion de « backdoor » au sein des solutions de sécurité logicielle produites par des firmes dont les noms n’ont pas été dévoilés.
Quoi qu'il en soit, l’algorithme Dual_EC_DRBG n’est plus assez fiable.
Source : Reuters, RSA Security
Envoyé par gentil2005
Quel est votre avis sue le sujet ?
